Start/z/OS & RACF Audit
z/OS und RACF Audit
Die Plattform ist sicher — die Konfiguration entscheidet. Wir prüfen Berechtigungen und Systemintegrität in einer gemeinsamen Betrachtung und übersetzen die Befunde in die Sprache Ihrer Prüfer.
Warum
Das Risiko liegt selten dort, wo man es vermutet
Die spektakulären Befunde sind nicht die vergessenen Testbenutzer. Es sind die stillen Eskalationspfade: eine Zuständigkeitskette, über die sich ein Passwort zurücksetzen lässt. Ein Recht, unter fremder Kennung zu arbeiten. Ein Eintrag, der Zugriffe erlaubt und die Protokollierung umgeht.
Solche Pfade findet man nicht durch Draufsehen, sondern durch systematische Auswertung des Berechtigungsbestands gegen die tatsächlich beobachtete Nutzung. Deshalb prüfen wir beides gemeinsam: die Berechtigungen und die Systemgrundlage, auf der sie überhaupt wirken.
Prüfungsumfang
Zwei Seiten derselben Frage
Ein Berechtigungsaudit ohne Blick auf die Systemintegrität prüft Türschlösser in einem Haus, dessen Wände man verschieben kann. Deshalb gehört beides zusammen.
Berechtigungen
- Träger von Sonderrechten: Anzahl, Zuordnung, tatsächliche Nutzung
- Zu weit gefasste Grundeinstellungen und dauerhaft aktive Warnmodi
- Regelwerke, die Zugriffe an der Protokollierung vorbei erlauben
- Technische Kennungen und Systemdienste mit erhöhten Rechten
- Verwaiste und ungenutzte Kennungen, geteilte Funktionskennungen
- Anmeldeverfahren: Passwortregeln, Verschlüsselung, MFA, Zertifikate
Systemintegrität
- Privilegierte Programmbibliotheken: Inventar und Schreibzugriff
- Eigene Systemerweiterungen und Eingriffe — Herkunft und Nachweis
- Schutz der zentralen System- und Konfigurationsbestände
- UNIX-Ebene: Superuser-Rechte, Dateisystemrechte, Sonderattribute
- Protokollierung: wird sie überhaupt geschrieben, aufbewahrt, ausgewertet
- Aufgabentrennung zwischen Administration, Systemtechnik und Revision
Typische Befunde
Was wir fast immer finden
Keine Liste zum Fürchten — eine Liste zum Abarbeiten. Fast alles davon lässt sich ohne Betriebsunterbrechung bereinigen.
- Zu viele Träger von Sonderrechten, oft an technischen oder geteilten Kennungen
- Weit gefasste Zugriffsrechte auf Bibliotheken, die es nicht haben dürften
- Warnmodus als Dauerzustand statt als Migrationshilfe
- Verwaiste Kennungen, die weiter in Zugriffslisten stehen
- Geteilte Funktionskennungen ohne personenbezogene Zuordnung
- Veraltete Verschlüsselungsverfahren für Passwörter
- Technische Dienste, die alle Prüfungen umgehen — ohne dokumentierte Begründung
- Unvollständige Protokollierung: Daten werden geschrieben, aber nie ausgewertet
Regulatorischer Rahmen
Vom technischen Befund zum Prüfnachweis
Ein Bericht, der nur Kommandos und Rechte auflistet, hilft der Revision nicht. Wir ordnen jeden Befund dem Anforderungsrahmen zu, in dem Ihr Haus geprüft wird.
- DORA — seit 17.01.2025 unmittelbar geltend; Zugriffs- und Rechteverwaltung, Protokollierung, Test der operationalen Resilienz
- NIS2 / BSIG — das deutsche Umsetzungsgesetz ist am 06.12.2025 in Kraft getreten, mit Registrierungs-, Melde- und Risikomanagementpflichten
- ISO/IEC 27001:2022 — die Übergangsfrist endete am 31.10.2025; nur noch die 2022er-Fassung ist zertifizierungsfähig
- PCI DSS 4.0.1 — die zunächst zukunftsdatierten Anforderungen sind seit 31.03.2025 verbindlich
- BSI IT-Grundschutz — der Baustein zu IBM Z samt Umsetzungshinweisen
Was Sie erhalten
- Befundliste mit Risikoeinstufung und Zuordnung zum Anforderungsrahmen
- Maßnahmenplan, priorisiert nach Wirkung und Aufwand — nicht alphabetisch
- Management-Zusammenfassung, die auch ohne z/OS-Kenntnisse lesbar ist
- Vorschlag für einen wiederholbaren Prüfzyklus statt einer Einmalaufnahme
Nach dem Audit
Ein Befund ist erst dann etwas wert, wenn er nicht wiederkommt
Rezertifizierung
Ein wiederholbarer Zyklus: wer bestätigt welche Rechte, in welchem Turnus, mit welchem Nachweis — werkzeuggestützt statt per Tabellenkalkulation.
SIEM-Anbindung
Sicherheitsrelevante Ereignisse in Ihr bestehendes SIEM überführen — mit definierten Anwendungsfällen statt einer Rohdatenflut.
Break-Glass
Notfallkennungen mit definiertem Prozess, automatischer Protokollierung und verbindlicher Nachbereitung — statt dauerhaft vergebener Sonderrechte „für den Fall der Fälle".
Was dieses Audit ist
Eine strukturierte, nachvollziehbare Prüfung von Konfiguration, Berechtigungen und Protokollierung auf Basis der Bordmittel und Ihrer eigenen Betriebsdaten — mit Priorisierung und Umsetzungsvorschlag.
Was es nicht ist
Kein Penetrationstest, keine Produkt-Zertifizierung, keine Rechtsberatung. Wo eine juristische Bewertung nötig ist, sagen wir das — und liefern die technische Grundlage dafür.
Wann wurden Ihre Berechtigungen zuletzt vollständig geprüft?
Wir starten mit einem Blick auf Umfang und Datenlage — daraus ergibt sich, ob eine Vollprüfung oder ein fokussierter Schnitt sinnvoll ist.